Trouver des failles ne coûte presque rien : les 1 000 prestataires de Bank of America montrent qui paie

Et si la partie la plus coûteuse d'une avancée de l'IA en cybersécurité n'était pas l'IA ? La réponse de Bank of America, livrée de la façon la moins glamour possible: 1 000 personnes de plus avec des ordinateurs portables.

La facture Mythos d'une banque se paie en personnes, pas en licences

Le directeur général, Brian Moynihan, a déclaré à CNBC que la banque avait recruté 1 000 prestataires pour corriger des failles logicielles révélées par Mythos, d'Anthropic. Selon Finextra, ils travaillent aux côtés de 3 000 employés internes. Le titre de synthèse de TechRadar évoque des centaines de millions, mais nous prendrions ce chiffre avec prudence tant que la banque ne le détaille pas.

C'est un rare aperçu de ce que l'ère Mythos coûte à une institution réelle, et il ne s'agit pas du prix d'une licence de modèle.

La découverte est devenue bon marché; la réparation, non

Anthropic affirme que Mythos a trouvé des milliers de vulnérabilités jusque-là inconnues et, d'après le résumé d'ArmorCode, qu'il a produit des exploits fonctionnels du premier coup dans plus de 83 % des cas. Impressionnant. Mais un rapport de bug n'est pas un correctif. Quelqu'un doit comprendre le code, le modifier, le tester, le planifier, et éviter de casser un système de paiement un mardi.

C'est la part que personne ne peut faire passer à l'échelle avec un communiqué de presse. Notre avis: le goulot d'étranglement est passé de la découverte à la main-d'œuvre de correction, et les effectifs supplémentaires de Bank of America en sont la première étiquette de prix concrète. Le secteur de la sécurité a depuis longtemps plus de découvertes que de correctifs. Mythos n'a pas créé cet arriéré; comme le dit Mitiga, il a révélé à quel point il était déjà intenable. Nous pensons que c'est juste.

Il y a aussi un point plus discret. Comme l'a rapporté CNBC, des chercheurs affirment qu'une bonne part de ce que Mythos a trouvé peut être reproduite avec des modèles publics existants, orchestrés avec astuce. Si c'est vrai, l'offre de découvertes ne dépend pas d'un seul modèle à accès restreint. Elle continuera d'arriver, via de nombreux outils, chez toutes les entreprises qui ont du code.

Les banques le ressentent en premier, car elles ne peuvent pas sauter la file

Les banques exploitent de vieux systèmes centraux, des intégrations tierces et un contrôle des changements strict, c'est-à-dire exactement là où les correctifs sont les plus lents. Un commentateur du secteur bancaire soutenait que les fournisseurs de systèmes centraux représentent souvent la plus grande surface d'attaque d'une banque. C'est une opinion, mais elle correspond à la forme du problème: on ne corrige pas le code d'un fournisseur en embauchant un prestataire.

Les régulateurs ne jugeront pas non plus les intentions. Le même commentaire note qu'après un incident, l'examen porte sur la capacité de l'établissement à garder le contrôle à la vitesse qu'exigeait la menace. Une banque qui accumule du retard a donc un problème de gouvernance, pas seulement informatique. Mobiliser 1 000 personnes est la réponse rationnelle d'un établissement qui ne peut pas se permettre d'être le plus lent.

Regardez qui gagne. Pas les défenseurs, du moins pas encore. Nous parierions que les gagnants jusqu'ici sont les entreprises qui vendent de la remédiation: prestataires, éditeurs d'automatisation et outils de contrôles compensatoires. Des éditeurs comme Moderne proposent précisément cela, affirmant que corriger une vulnérabilité dans 2 000 dépôts ne devrait pas coûter 2 000 fois plus cher. C'est du marketing, non prouvé ici, mais cela indique où l'argent pourrait aller.

Embaucher est un pis-aller, pas une stratégie

Embaucher des prestataires croît de façon linéaire; les découvertes, peut-être pas. Si, comme l'estimerait l'équipe d'Anthropic, des capacités comparables se diffusent à d'autres laboratoires d'ici six à dix-huit mois, beaucoup de grandes entreprises tourneront bientôt ces outils vers leur propre code propriétaire. Selon ArmorCode, les arriérés pourraient croître de plusieurs ordres de grandeur. Personne ne s'en sort en embauchant.

Que doit donc faire le lecteur, ou le RSSI ? Trois choses, à notre avis. Prioriser sans état d'âme selon l'exposition réelle, et non la gravité brute. Préautoriser des mesures d'atténuation comme l'isolation pour qu'elles n'attendent pas la prochaine fenêtre de changement. Et budgéter pour corriger, pas pour trouver: si votre ligne de budget d'analyse par IA dépasse celle de la remédiation, vous avez sans doute mal compris le problème.

Le verdict

Pour les clients ordinaires qui se demandent si leur argent est en sécurité: rien de ce que nous avons lu n'indique que Bank of America a été piratée. C'est l'histoire d'une banque qui dépense beaucoup pour devancer des failles, ce qui vaut mieux que de les ignorer. La leçon n'est pas que l'IA a cassé la banque. C'est que la facture d'une découverte à la vitesse de l'IA retombe sur une réparation à vitesse humaine, et 1 000 prestataires ne sont que la première facture que nous voyons.